El problema del 2,7: por qué el ransomware moderno siempre gana con las matemáticas de su lado

La cifra más infravalorada del informe Sophos 2025

Cuando Sophos publicó su informe State of Ransomware de 2025, la mayor parte de la cobertura se centró en las métricas de titular: la caída de las tasas de cifrado, la mejora de los tiempos de recuperación y el descenso de los pagos de rescate. Esas cifras son reales e importan. Pero, oculta en una sección del informe analizada por primera vez este año —los factores organizativos que dejaron expuestas a las empresas—, hay una única estadística que, en nuestra opinión, replantea por completo cómo deberían pensar sobre el ransomware los responsables de riesgo empresarial.

En las 3.400 organizaciones encuestadas, las víctimas identificaron una media de 2,7 factores contribuyentes diferentes detrás de los ataques que tuvieron éxito contra ellas.

Ni uno. Ni siquiera dos. Casi tres debilidades independientes operando de forma simultánea en cada incidente exitoso.

Esto no es una nota a pie de página. Es la prueba matemática de que la era de la defensa contra el ransomware basada en un único control ha terminado, y de que la arquitectura de backup se ha convertido discretamente en el control compensatorio más importante del stack empresarial moderno.

En BackupSec creemos que la cifra del 2,7 es el número estratégicamente más útil de todo el informe. Este artículo desglosa lo que realmente significa, por qué vuelve matemáticamente insostenibles las estrategias basadas únicamente en la prevención y qué implica para las organizaciones que todavía tratan el backup como un añadido secundario a la seguridad «de verdad».

Qué representa realmente el 2,7

En el informe Sophos de 2025, por primera vez, se pidió a los encuestados que identificaran los factores organizativos que contribuyeron a que fueran atacados, no solo el punto de entrada técnico, sino las condiciones operativas más amplias que los dejaron vulnerables. Los hallazgos dibujan un panorama que ningún resumen ejecutivo capta con nitidez:

• El 40,2 % citó la falta de experiencia: habilidades o conocimientos insuficientes para detectar y detener el ataque a tiempo.
• El 40,1 % citó brechas de seguridad desconocidas: debilidades en sus defensas de las que no eran conscientes hasta el incidente.
• Porcentajes significativos citaron la falta de capacidad, la falta de productos de protección, las carencias en la disciplina de los procesos y una visibilidad incompleta de su propia superficie de ataque.
• A todo ello se sumaron las causas raíz técnicas: vulnerabilidades explotadas (32 %), credenciales comprometidas (23 %), correo malicioso (19 %) y phishing (18 %).

Cuando los encuestados sumaron los factores que creían que contribuyeron a su incidente, la media fue de 2,7. Sophos lo describe como «una situación compleja y multifacética». Nosotros lo llamaríamos algo más preciso: inevitabilidad estructural.

Si cada incidente de ransomware exitoso en 2025 implicó casi tres fallos independientes, entonces el modelo de defensa implícito con el que la mayoría de las empresas siguen operando —«encuentra la brecha, cierra la brecha»— se enfrenta a un atacante que solo necesita encontrar una de las tres. Mientras tanto, el defensor tiene que gestionarlas todas a la vez.

Eso no es un problema de seguridad. Es un problema de asimetría.

La asimetría: una puerta frente a siete

Considera las matemáticas desde la perspectiva del atacante.

Un operador de ransomware moderno —ya sea un grupo alineado con un Estado, un afiliado de RaaS o un operador independiente— no necesita identificar y explotar todas las debilidades de tu entorno. Necesita encontrar una única vía viable: un sistema sin parchear, un conjunto de credenciales comprometidas, un bucket de nube mal configurado, un usuario susceptible al phishing, una brecha administrativa.

Ahora considera las matemáticas desde la perspectiva del defensor. Eres responsable de:

1. La gestión de vulnerabilidades en miles de activos, en ciclos a los que ninguna cadencia de parcheo se adelanta de forma fiable.
2. La gobernanza de identidades de usuarios humanos, cuentas de servicio, identidades federadas y agentes cada vez más autónomos.
3. La seguridad del correo y la colaboración, el punto de entrada más común y el de mayor variabilidad humana.
4. La protección de endpoints frente a cargas maliciosas que evolucionan más rápido de lo que la detección basada en firmas puede adaptarse.
5. La segmentación de la red diseñada frente a modelos de amenaza que cambian de forma continua.
6. La configuración de la nube y de SaaS en decenas o cientos de servicios, cada uno con su propio modelo de permisos.
7. La infraestructura de backup y recuperación, que debe funcionar bajo condiciones que el resto de tu stack ya no ha conseguido evitar.

El atacante juega una casilla de este tablero. El defensor juega las siete, todos los días, con recursos finitos.

La cifra del 2,7 de Sophos es la confirmación empírica de que esta asimetría ya no es hipotética. En los incidentes reales ocurridos en 2025, los defensores fallaban en casi tres casillas de forma simultánea, no porque fueran negligentes, sino porque el modelo está estructuralmente amañado en contra de una prevención completa.

Por qué «basta con corregir la causa raíz» son malas matemáticas

Una respuesta habitual al análisis de incidentes es identificar la «causa raíz» y remediarla. Los marcos de cumplimiento refuerzan esta mentalidad. También lo hacen la mayoría de las revisiones posteriores a un incidente. Los datos de Sophos de 2025 ponen de manifiesto por qué este planteamiento, aunque resulte intuitivamente satisfactorio, está cada vez más desconectado de cómo se desarrollan en realidad los incidentes modernos.

Si el incidente exitoso medio implica 2,7 factores contribuyentes, entonces identificar una única causa raíz es, por definición, un análisis incompleto. Te dice por qué puerta entró el atacante, pero no por qué el edificio tenía tantas puertas sin cerrar que una de ellas siempre iba a estar disponible.

Esto importa a nivel operativo porque los recursos dedicados a obsesionarse con el vector de entrada concreto del incidente del año pasado son recursos que no se destinan a las brechas arquitectónicas que determinarán el del año que viene. Los datos de Sophos implican que las organizaciones que operan en modo de causa raíz única están infrainvirtiendo sistemáticamente en los controles por capas que determinan si cualquier vector de entrada acaba en un desenlace catastrófico.

El replanteamiento estratégico es este: en cualquier entorno empresarial suficientemente complejo, los atacantes acabarán encontrando una vía viable. La pregunta que determina si esa vía conduce a un rescate pagado no es «¿cerramos todas las puertas?», sino «¿sobrevive nuestra arquitectura cuando una de ellas se abre?».

El control compensatorio que la mayoría de las empresas subestima

Esta es la conclusión arquitectónica que la cifra del 2,7 vuelve ineludible: cuando la prevención va a fallar con regularidad matemática, las capas que determinan los resultados del negocio se desplazan aguas abajo.

Aquí es donde la arquitectura de backup pasa de ser «higiene de infraestructura» a «control estratégico primario».

En un modelo de amenaza de vector único, el backup es un recurso de reserva. En un modelo de amenaza de 2,7 factores, el backup es el control compensatorio de cada fallo de prevención que se producirá inevitablemente. Los datos de Sophos de 2025 lo muestran en términos contundentes:

• El 48 % de las organizaciones empresariales pagó el rescate a pesar de las mejoras en prevención.
• El uso de backups para recuperar datos cifrados cayó a un mínimo de cuatro años del 53 %, frente al 73 % del año anterior.
• El coste medio de recuperación empresarial alcanzó los $1.83 million en organizaciones con entre 1.000 y 5.000 empleados, y esa cifra excluye cualquier rescate pagado.

Cuando lees esas cifras sobre el telón de fondo de los 2,7 factores, la historia cobra coherencia: las organizaciones están mejorando a la hora de prevenir algunos ataques, pero no están mejorando la arquitectura de recuperación que determina los resultados cuando la prevención falla. El resultado es una brecha cada vez mayor entre la madurez de la prevención y la madurez de la recuperación, y es precisamente en esa brecha donde viven los pagos de rescate.

Para los responsables de riesgo empresarial, esto implica una reasignación concreta de la atención arquitectónica. Las inversiones en detección, identidad y parcheo siguen siendo todas esenciales. Pero ninguna de ellas elimina el 2,7. Simplemente cambian cuáles son las tres puertas que quedan abiertas un día determinado. El control que determina si una puerta abierta se convierte en un incidente existencial es el que la mayoría de las organizaciones han modernizado menos: la arquitectura que conserva copias limpias, inmutables y validadas de los datos críticos para el negocio y que puede restaurarlas en condiciones adversas.

Cómo se ve el 2,7 en un incidente real

Para hacerlo concreto, considera cómo se compone normalmente el 2,7 en un entorno empresarial real. Los factores concretos varían, pero el patrón es constante:

El factor uno suele ser un vector de entrada: un dispositivo de borde sin parchear, una credencial comprometida reutilizada en varios sistemas o un correo de phishing exitoso. Este es el fallo que el informe posterior al incidente llamará la «causa raíz».

El factor dos suele ser un fallo de privilegios o de visibilidad que permitió que el punto de apoyo inicial se expandiera: permisos permanentes excesivos, carencias en la detección de movimiento lateral o una segmentación inadecuada entre unidades de negocio.

El factor tres es casi siempre un fallo en la capa de recuperación que convirtió una brecha contenida en un rescate pagado: credenciales de backup accesibles desde producción, políticas de retención modificables por administradores comprometidos o procedimientos de restauración que nunca se han probado frente al escenario real al que se enfrenta ahora el equipo.

Los dos primeros factores acaparan la atención en la respuesta a incidentes. El tercero determina el resultado financiero. Y el tercero es el que la mayoría de las empresas está menos preparada para evaluar con honestidad antes de que un incidente fuerce la pregunta.

Esta es la realidad operativa a la que apunta la cifra del 2,7. Los factores no son abstractos: son la secuencia concreta de fallos que convierten un evento de seguridad manejable en una crisis a nivel del consejo de administración.

Qué significa esto para la asignación del riesgo

Si aceptas el hallazgo del 2,7 como arquitectónicamente significativo —y el conjunto de datos subyacente de Sophos, con 3.400 organizaciones, hace difícil descartarlo—, se derivan varias conclusiones sobre la asignación.

Diversifica la inversión a lo largo de toda la cadena de fallos, no dentro de una sola capa. Redoblar la apuesta por la seguridad del correo sin cambiar la arquitectura de recuperación modifica qué factor falla primero; no reduce el número total de fallos. Los presupuestos de seguridad empresarial que asignan una proporción desmesurada a la prevención mientras tratan el backup como una partida de mercancía operan frente a un modelo de amenaza que ya no refleja cómo se desarrollan realmente los incidentes.

Evalúa las arquitecturas frente a escenarios multifactoriales, no frente a pruebas de vector único. Una prueba de penetración que confirma que una defensa resiste no es evidencia de que tu entorno sobreviva a un ataque real. Los datos de Sophos muestran que los ataques reales explotan casi tres debilidades de forma simultánea. Los ejercicios teóricos (tabletop) y las intervenciones de red team deberían diseñarse para probar esa condición combinada de forma explícita.

Mide la confianza en la recuperación, no la finalización de los backups. La tasa de uso de backups del 53 % en los datos empresariales de Sophos no es una historia sobre backups que fallan en general. Es una historia sobre arquitecturas de backup diseñadas para fallos de un solo factor (un servidor se cayó, un usuario borró un archivo) a las que se les pide que rindan en condiciones multifactoriales (el atacante lleva dos semanas en la red y lo ha tocado todo). Son problemas distintos, y la mayoría de los entornos de backup empresariales se construyeron para el primero.

Trata la capa de recuperación como el control compensatorio en el que se ha convertido. Cuando la prevención va a fallar con regularidad matemática, la capa que determina los resultados es la que conserva copias de datos limpias, aisladas e inmutables y puede restaurarlas con rapidez en condiciones hostiles. Esa capa debe diseñarse, gobernarse y probarse con el mismo rigor que el entorno de producción que protege.

Dónde entra BackupSec

En BackupSec, todo nuestro enfoque se construye en torno a una única premisa arquitectónica: la prevención acabará fallando y, cuando lo haga, la capa de recuperación es lo que determina si el fallo es recuperable o existencial.

El hallazgo del 2,7 de los datos de Sophos es, en muchos sentidos, la justificación empírica de esa premisa. Los tres servicios que ofrecemos —observabilidad, asesoría y prueba de recuperación validada mediante pentest— están diseñados para responder a las preguntas que la cifra del 2,7 obliga a afrontar a los responsables de riesgo empresarial:

• ZeroMON responde a «¿qué está haciendo realmente nuestro entorno de backup ahora mismo?», mediante la monitorización continua de las operaciones de backup y las señales de seguridad, registros de auditoría forense en tiempo real, detección de desviaciones de configuración y visibilidad preparada para Veeam en todo el conjunto de backups.
• ZeroTAM responde a «¿tenemos la experiencia necesaria para interpretar lo que estamos viendo?», mediante un asesor de seguridad de backups dedicado que conoce tu entorno, tus prioridades de recuperación y tu arquitectura, disponible para ofrecer orientación proactiva y respuesta ante crisis sin la fricción de los tickets de soporte rotativos.
• ZeroPEN responde a «¿podemos recuperarnos de verdad cuando la capa de prevención falla?», mediante pruebas de penetración en backups dirigidas a tus planos de gestión, controles de acceso y postura de inmutabilidad, seguidas de escenarios de restauración reales que validan una recuperación limpia, completa y a tiempo frente a tus objetivos declarados de RTO y RPO.

BackupSec se despliega on-premise, se conecta mediante acceso a la API en modo solo lectura y nunca saca los datos de backup ni la telemetría fuera de tu entorno. No sustituimos tu plataforma de backup: hacemos que la capa de recuperación que esa plataforma sostiene sea observable, asesorable y demostrable bajo las condiciones multifactoriales que describen los datos de Sophos.

Si tu organización está leyendo el informe Sophos de 2025 y concluyendo que la respuesta es cerrar todas las puertas, los datos te están diciendo otra cosa: no todas las puertas permanecerán cerradas, y la arquitectura que determina qué ocurre cuando una de ellas se abre es la conversación que merece la pena tener en 2026.

Habla con BackupSec sobre la validación de recuperación →

Este análisis se basa en el informe Sophos State of Ransomware 2025 y en el panorama más amplio de la investigación sobre ransomware de 2025. La interpretación y el marco que se presentan aquí son propios de BackupSec. Para hablar sobre cómo se aplica este análisis a tu entorno específico, ponte en contacto con nuestro equipo →